Rollen klären, Verantwortung tragen NIS2 braucht Kompetenzen statt Zertifikate

Anbieter zum Thema

Manufaktur IT GmbH

cidaas by Widas ID GmbH

secunet Security Networks AG

NIS2 verlangt von der Geschäftsführung volle Verantwortung für Cybersecurity. Doch viele Unternehmen delegieren nur an die IT. Ohne systematischen Kompetenzaufbau bleibt Compliance oberflächlich. Ein pragmatischer Ansatz kann die Anforderungen nachhaltig erfüllen.

NIS2, DORA, TISAX und KRITIS stellen Unternehmen vor weitreichende organisatorische und technische Herausforderungen. Die Diskussion konzentriert sich häufig auf neue Prozesse, Dokumentationen und Sicherheitswerkzeuge. In der Praxis entscheidet jedoch vor allem der systematische Aufbau der richtigen Kompetenzen darüber, ob regulatorische Anforderungen dauerhaft erfüllt werden können.

Keine Zeit verlieren bei Umsetzung der NIS2-Richtlinie

8 Maßnahmen für die NIS-2-Konformität

Technik ist selten das eigentliche Problem

Cybersecurity war über viele Jahre vor allem eine technische Disziplin. Firewalls, Endpoint Protection, SIEM, Multifaktor-Authentifizierung oder Zero Trust standen im Mittelpunkt zahlreicher Investitionen. Gleichzeitig haben sich die regulatorischen Anforderungen deutlich verändert. Mit NIS2, DORA oder branchenspezifischen Anforderungen wie TISAX rücken Governance, Risikomanagement, Meldepflichten, Lieferketten, Business Continuity und das Management von Sicherheitsvorfällen stärker in den Fokus.

Viele Unternehmen reagieren darauf zunächst mit der Einführung weiterer Werkzeuge oder zusätzlicher Prozesse. Genau hier entsteht häufig ein Missverständnis. Regulatorische Anforderungen lassen sich nicht allein durch Technologie erfüllen. Sie verlangen Menschen, die Risiken bewerten, Entscheidungen treffen, Audits durchführen, Sicherheitsmaßnahmen priorisieren und Vorfälle strukturiert bearbeiten können.

Persönliche Haftung verändert Risikokultur in Unternehmen

Schwachstelle Governance: Wo die NIS2-Umsetzung wirklich scheitert

Regulatorik fordert Fähigkeiten

Ein genauer Blick auf die verschiedenen Regelwerke zeigt eine interessante Gemeinsamkeit. Weder NIS2 noch DORA schreiben bestimmte Zertifizierungen vor. Gefordert werden vielmehr geeignete organisatorische Maßnahmen sowie qualifizierte Personen, die diese Maßnahmen planen, umsetzen und kontinuierlich verbessern können.

Auch das BSI betont in seinen Veröffentlichungen regelmäßig die Bedeutung qualifizierter Verantwortlicher für den nachhaltigen Betrieb eines Informations­sicherheits­management­systems. Ähnlich beschreibt ENISA in ihrem European Cybersecurity Skills Framework konkrete Rollenprofile und Kompetenzfelder für Cybersecurity-Fachkräfte. Im Mittelpunkt stehen dabei Aufgaben, Verantwortlichkeiten und Fähigkeiten, nicht einzelne Zertifikate.

Die entscheidende Frage lautet deshalb nicht: „Welche Zertifizierung benötigen wir?“ Sondern: „Welche Kompetenzen fehlen uns?“

Fachkräftemangel in Deutschland

Ohne IT-Experten keine Security

Die häufigste Beobachtung aus der Praxis

In vielen Projekten wird zunächst geprüft,

• welche Richtlinien erstellt werden müssen,

• welche technischen Maßnahmen noch fehlen und

• welche Auditnachweise erforderlich sind.

Erst deutlich später stellt sich heraus, dass niemand im Unternehmen ausreichend Zeit oder Erfahrung besitzt,

• Risiken methodisch zu bewerten,

• Managemententscheidungen vorzubereiten,

• Lieferanten sicherheitsbezogen zu bewerten,

• Audits durchzuführen oder

• Sicherheitsvorfälle strukturiert zu koordinieren.

Das führt häufig dazu, dass externe Berater dauerhaft Aufgaben übernehmen, die eigentlich Teil der eigenen Organisation sein sollten. Beratung kann wichtige Impulse liefern. Langfristige Resilienz entsteht jedoch erst dann, wenn Wissen und Verantwortung im Unternehmen selbst verankert werden.

Personalengpässe machen anfällig

In Deutschland fehlen 120.000 Security-Experten

Rollen statt Stellenbezeichnungen

Ein weiterer Fehler besteht darin, regulatorische Anforderungen unmittelbar mit Organigrammen zu verknüpfen. Nicht jedes mittelständische Unternehmen benötigt einen eigenen CISO, ein Red Team oder ein Security Operations Center.

Jedes Unternehmen benötigt jedoch klar definierte Rollen. Dazu gehören beispielsweise Verantwortliche für

• Informationssicherheitsmanagement

• Risikomanagement

• interne Audits

• Incident Response

• Security Awareness

• Lieferantenbewertung

• Business Continuity

Diese Rollen können, abhängig von Unternehmensgröße und Branche, durchaus von denselben Personen wahrgenommen werden. Entscheidend ist, dass Aufgaben, Verantwortlichkeiten und Kompetenzen eindeutig festgelegt sind.

Cybersicherheitsstrategie

6 Gartner-Empfehlungen für CISOs

Kompetenzaufbau ist eine Managementaufgabe

NIS2 weist der Unternehmensleitung ausdrücklich Verantwortung für das Risikomanagement im Bereich Cybersecurity zu. Damit verändert sich auch die Rolle der Geschäftsführung. Informationssicherheit kann nicht mehr ausschließlich an die IT delegiert werden. Managemententscheidungen über Risiken, Investitionen, Prioritäten und Ressourcen werden zu einem wesentlichen Bestandteil der Unternehmensführung.

Daraus ergibt sich eine weitere Konsequenz. Qualifizierung ist keine isolierte Personalentwicklungsmaßnahme mehr, sondern Bestandteil der Sicherheitsstrategie.

Mit Interconnection-Strategien gegen IT-Lieferkettenrisiken

Wie NIS2 die Sicherheit in IT-Lieferketten erzwingt

Zertifizierungen bleiben wichtig

Aus dieser Perspektive verlieren Zertifizierungen keineswegs an Bedeutung. Im Gegenteil. Sie können einen strukturierten Kompetenzaufbau unterstützen und gemeinsame Wissensgrundlagen schaffen. Entscheidend ist jedoch, dass sie zur jeweiligen Rolle passen. Ein Auditor benötigt andere Schwerpunkte als ein Security Manager. Ein Cloud Security Architect benötigt andere Kompetenzen als ein Penetrationstester. Ein Informationssicherheitsbeauftragter verfolgt andere Ziele als ein Incident Responder. Zertifizierungen entfalten ihren größten Nutzen dann, wenn sie das Ergebnis einer Kompetenzanalyse sind und nicht deren Ausgangspunkt.

Zertifizierungsstrategien gegen Skills Gaps in der Cybersicherheit

Warum Zertifizierungen für Cyber­sicher­heits­fachkräfte wichtig sind

Ein pragmatischer Weg

Unternehmen können den Kompetenzaufbau mit wenigen Schritten strukturieren.

• 1. Die regulatorischen Anforderungen sollten identifiziert werden.

• 2. Daraus werden die benötigten Rollen abgeleitet.

• 3. Vorhandene Kompetenzen sollten mit den erforderlichen Fähigkeiten verglichen werden.

Erst anschließend empfiehlt sich die Auswahl geeigneter Qualifizierungsmaßnahmen. Dieses Vorgehen verhindert, dass Weiterbildung zum Selbstzweck wird, und stellt sicher, dass Investitionen unmittelbar auf die Sicherheitsziele des Unternehmens einzahlen.

CertMap

Datenbasierte Entscheidungshilfe für Security-Zertifizierungen

Fazit

Cybersecurity entwickelt sich zunehmend von einer technischen Disziplin zu einer Führungsaufgabe. Technologien bleiben unverzichtbar. Ihre Wirksamkeit hängt jedoch maßgeblich davon ab, ob Unternehmen über Menschen verfügen, die Risiken verstehen, Entscheidungen treffen und Sicherheitsmaßnahmen nachhaltig etablieren können.

Wer NIS2, DORA, TISAX oder andere regulatorische Anforderungen erfolgreich umsetzen möchte, sollte daher nicht mit der Frage beginnen, welche Zertifizierung angeschafft werden soll. Die entscheidende Frage lautet vielmehr: Welche Kompetenzen benötigen wir, um unsere Organisation dauerhaft widerstandsfähiger zu machen?

Über den Autor: Manu Carus ist Geschäftsführer von Manufaktur IT GmbH und Trainer für Informationssicherheit. Als offizieller Trainer für ISC2- und OffSec-Programme begleitet er Unternehmen beim Aufbau von Kompetenzen in Informationssicherheitsmanagement, Audit, Governance sowie technischer Cybersecurity. Sein Schwerpunkt liegt auf der nachhaltigen Qualifizierung von Fach- und Führungskräften im Umfeld regulatorischer Anforderungen.

Fachkräftemangel in der IT-Sicherheit

Weiterbildung bleibt die Achillesferse der Cybersicherheit

(ID:50954389)